Le pont cross-chain Ethereum d’Ankr a été victime d’un exploit le 9 novembre, permettant à un attaquant de détourner plus de 303 000 $ en cryptomonnaies et révélant de préoccupantes lacunes dans le processus de vérification des transactions du pont. Ce qui s’est passé - La société de sécurité blockchain Blockaid a été la première à signaler l’incident, le qualifiant d’« exploit en cours ». Onchain Lens a également alerté la communauté. Selon les données on-chain, l’attaquant a effectué cinq retraits entre 3 h 09 et 3 h 12, heure de l’Est, en transférant tous les actifs volés vers un seul portefeuille de destination. - Les premières estimations de Blockaid évaluaient les pertes à environ 292 000 $ ; des vérifications ultérieures des cours des jetons ont porté la valeur combinée des actifs dont le prix était disponible à environ 303 600 $. Deux jetons retirés (5 372,25 aMATICb et 0,8196 aETHb) n’affichaient aucun prix sur Etherscan à ce moment-là et ont été exclus de cette estimation. Détail des actifs retirés - ~82,91 ankrETH — environ 216 370 $ (la part la plus importante) - 515 206 ankrPOL — environ 56 372 $ - ~7,98 millions d’ANKR — environ 30 857 $ - auxquels s’ajoutent les transferts non valorisés en aMATICb et aETHb mentionnés ci-dessus Comment l’attaquant s’y est pris - L’exploit repose sur un minuscule dépôt, initialement soumis via Optimism le 3 novembre : 0,0044024803 ankrETH, qui aurait déjà été échangé contre son équivalent sur Ethereum le même jour. - Le 9 novembre, l’attaquant a fait référence à ce même dépôt pour soumettre cinq nouvelles demandes de retrait. Chaque demande comportait des détails de reçu modifiés, indiquant des destinataires différents, des montants de retrait plus élevés et des jetons différents de ceux du transfert initial. - Le pont d’Ankr exige normalement l’approbation d’un signataire désigné pour autoriser les retraits, après vérification du dépôt par le système backend. L’acceptation des retraits indique une défaillance quelque part dans la chaîne d’autorisation — au niveau du processus de signature, de la validation du reçu ou d’un autre composant — mais les données disponibles ne permettent pas d’identifier le vecteur exact. État opérationnel et portée - À 3 h 49, heure de l’Est, l’historique des transactions du pont ne montrait aucune activité supplémentaire, et son indicateur public de suspension était toujours réglé sur « false », sans qu’il soit possible de savoir si Ankr avait pris des mesures internes pour interrompre les opérations. - Il n’est pas encore confirmé si la brèche a affecté l’infrastructure plus large d’Ankr — y compris les services RPC — ou les portefeuilles des utilisateurs. Les retraits concernent des actifs détenus dans le contrat spécifique du pont Ethereum. - crypto.news a contacté Ankr pour obtenir un commentaire ; l’entreprise n’avait pas répondu au moment de la publication. Contexte et précédents - Ce n’est pas le premier incident d’Ankr. En août, une vulnérabilité d’ankrFLOW a permis la création de millions de jetons non garantis et entraîné des pertes d’environ 410 000 $ liées à MORE Markets. - D’autres opérateurs de ponts ont connu cette année des défaillances similaires en matière d’autorisation et de détection des dépôts : en octobre, Cysic a suspendu son pont après qu’un attaquant a créé 10 millions de jetons CYS non autorisés sur BNB Smart Chain ; en août, un pont XRPL a signalé le vol de 198 715,88 XRP à la suite d’une logique défectueuse de détection des dépôts. Pourquoi c’est important Les ponts cross-chain sont des cibles fréquentes, car ils détiennent d’importantes liquidités concentrées et reposent sur des systèmes complexes de vérification et de signature. Une faille permettant à un seul dépôt référencé d’autoriser plusieurs retraits modifiés remet en cause les hypothèses fondamentales de confiance sur lesquelles repose l’architecture des ponts et soulève des questions urgentes quant à la robustesse de la vérification et à la sécurité des signataires. Et maintenant Les enquêteurs et les équipes de sécurité cherchent toujours à comprendre comment l’autorisation a été contournée et si d’autres contrats ou services ont été touchés. Les utilisateurs et les projets qui interagissent avec le pont d’Ankr devraient suivre les annonces officielles et les alertes on-chain au fil de l’enquête. Lire davantage d’actualités générées par l’IA sur : https://app.chaingpt.org/news